Référence courrier : CODEP-CAE-2021-024931 **À Caen, le 26 mai 2021** 
Monsieur le Directeur du CNPE de Flamanville 3 BP 37 50340 LES PIEUX
Objet : Contrôle des installations nucléaires de base - INB no **167 - Flamanville 3**
Thème : **Conduite de l'installation en situation d'incident ou d'accident**
Code : Inspection no **INSSN-CAE-2021-0241 des 13 et 14 avril 2021**

## Références :

[1] **Code de l'environnement, notamment son chapitre VII du titre V du livre V et L. 593-33** [2] **Arrêté ministériel du 7 février 2012 modifié fixant les règles générales relatives aux installations** 
nucléaires de base 
[3] **Note technique « Validation à blanc des consignes CIA sur FLA3 » (référence D455116000855)** [4] **Note technique « Validation à blanc des fiches locales APE sur FLA3 » (référence** 
D455115001446) 
[5] **Processus CIA EPR - Interface avec la qualification (référence ECEF070498 ind. A)** 
[6] **NT 400 2019-2020 Offre du maintien de capacités conduite et IS EPR/FLA3 (référence** 
UFPI/SAT2/ERQ/19-00337 ind.1) 

## Monsieur Le Directeur,

Dans le cadre des attributions de l'autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base en référence [1], une inspection annoncée a eu lieu les 13 et 14 avril 2021 au centre nucléaire de production d'électricité (CNPE) de Flamanville sur le chantier de construction du réacteur no **3 de Flamanville, sur le thème de la conduite de l'installation en situation** 
d'incident ou d'accident. 

Je vous communique ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs. 

## Synthèse De L'Inspection

L'inspection visait à contrôler la préparation des équipes de conduite à la gestion des situations d'incident ou d'accident, et à vérifier l'avancement de l'activité de validation à blanc (VàB) des documents opératoires de conduite incidentelle et accidentelle (CIA). 

Les inspecteurs ont organisé des mises en situation de CIA sur le simulateur de conduite et dans les locaux de l'installation qui ont permis de tester l'applicabilité des consignes de CIA et des fiches de manœuvres locales associées. 

Ils soulignent la qualité des échanges établis avec les formateurs lors de la préparation des scénarios de mise en situation de CIA, et la rigueur et le professionnalisme des agents de conduite participant au contrôle. 

Il ressort de cette inspection que le niveau de préparation des équipes de conduite à la gestion des situations d'incident ou d'accident est satisfaisant. Toutefois, la documentation utilisée actuellement pour former les agents de conduite à la gestion de la CIA n'est pas représentative de l'état technique et documentaire de l'installation au moment de la mise en service du réacteur, et nécessitera donc encore des mises à jour. Cette documentation comporte quelques imperfections dont le traitement par les services d'ingénierie d'EDF est prévu dans les futures versions. Les mises en situation de CIA ont montré que la consigne de surveillance permanente de l'état (SPE) de l'installation appliquée en CIA n'est pas adaptée à l'organisation de crise mise en place actuellement par le CNPE pour gérer les accidents. L'avancement de l'activité de validation à blanc des fiches de manœuvre est jugé satisfaisant malgré quelques anomalies détectées lors des visites sur le terrain. La prise en compte des anomalies détectées lors des campagnes de VàB doit être accélérée. En outre, les inspecteurs pointent la fragilité sur les VàB relatives aux recueils des fiches locales d'astreinte (RFLA). Un effort important de validation reste à mobiliser pour pallier ce retard dans un temps relativement restreint. 

# A. **Demandes D'Actions Correctives**

## Présence D'Imperfections Dans Les Procédures De Cia

Pour les besoins de l'inspection, une équipe de conduite a été mise en situation de CIA sur simulateur à deux reprises. Lors de la première séquence, qui a duré six heures, les inspecteurs ont observé la gestion d'un accident de rupture de tubes de générateur de vapeur (RTGV) simulé selon un scénario élaboré par les inspecteurs en lien avec les formateurs du service commun de formation (SCF) du CNPE. Le choix d'un transitoire accidentel relativement long est motivé par un constat réalisé en inspection des services d'ingénierie d'EDF responsables de l'élaboration des procédures de CIA : la validation des consignes de CIA est effectuée sur des séquences de simulateur ne dépassant jamais trois heures. Ce même constat est valable pour les formations à la CIA sur simulateur dispensées par les SCF : les objectifs pédagogiques visés par ces formations couvrent la gestion des phases dynamiques de l'accident sans avoir nécessairement comme cible l'atteinte de l'état de repli de la tranche, permettant sa stabilisation dans un état sûr. Cet aspect est vu généralement de manière théorique en salle de formation. Partant de l'état initial de la tranche en arrêt à chaud, l'initiateur de l'accident était la rupture de deux tubes du générateur de vapeur (GV) n°3. Le scénario comportait plusieurs défaillances : le système de purge des GV (APG) est considéré inutilisable (en anticipation de la future modification des consignes pour la mise en service) et le signal de « refroidissement partiel automatique » supposé défaillant. Cet accident était cumulé avec une situation de perte du transformateur électrique de soutirage (TS). 

Le transitoire doit être géré par la mise en œuvre de la stratégie de passage en arrêt à froid en RTGV
(PAF RTGV) par l'équipe de conduite. Après environ six heures de conduite dans les phases 0 
« Actions *et orientation initiales* », phase 1 « *Arrêt ISMP* », phase 2 « *Équilibrage des pressions* **», phase 3** 
« *Passage en arrêt à froid - refroidissement* » et phase 4 « *Passage en arrêt à froid - dépressurisation* **» de la** stratégie PAF RTGV, la phase 5 « *Passage en arrêt à froid - Refroidissement par RIS/RA en mode RA et* dépressurisation **» de cette stratégie devait être entamée. Cette dernière phase qui est longue consiste à** basculer les trains d'injection de sécurité basse pression (ISBP) en mode « refroidissement du réacteur à l'arrêt » (mode RA). L'état sûr est atteint lorsque l'état du circuit primaire est stabilisé, que la pression du GV accidenté est équilibrée avec la pression du circuit primaire et qu'un train ISBP est en service en mode RA. L'état de repli en conduite accidentelle est atteint lorsque la température en sortie du cœur (T RIC) passe en dessous de 55°C, la pression primaire étant maintenue par la seule pompe ISBP 
laissée en service. 

Pour des raisons pratiques, les inspecteurs ont arrêté la mise en situation peu de temps après l'entrée dans la phase 5. Néanmoins, les formateurs avaient déroulé l'ensemble du scénario en préparation de l'inspection. 

La mise en situation et la préparation de celle-ci ont mis en lumière les difficultés suivantes liées à des imperfections dans la procédure ou de représentativité du simulateur : 
o **Non fermeture de l'injection de bore de sécurité (RBS) sur la boucle inactive par le mode** 
opératoire (MOP) « isolement RBS sur boucle inactive (KAE3117YP) » ; 
o **Non fermeture du contournement des vannes d'isolement vapeur (VVP) sur le GV ligné par** 
contournement VVP au GV radioactif (cette problématique est corrigée dans les futurs jeux de consignes) ; 
o **Problématique de déclaration « inutilisable » à tort des trains RBS en surveillance « Efficacité** 
RBS (KAE3203YP) » et leur re-déclaration « utilisable » dans le MOP de restauration RBS associé (cette problématique est corrigée dans les futurs jeux de consignes) ; 
o **Tentative de mise en service de l'APG sur GV n°3 et GV n°4 (3APG9901YP) et déclaration** 
« inutilisable » de l'APG du GV n°3 et du GV n°4 (cette action est supprimée dans les futurs jeux de consignes) ; 
o **Éventuelle apparition d'un signal d'injection de sécurité (IS) sur bas ΔPsat qui engendre une** 
réactivation de la fuite et une sortie de PAF RTGV sur réveil du diagnostic automatique (DA) (cette problématique sera atténuée dans le futur jeu de consignes JR8 selon les retours de l'ingénierie nationale) ; 
o **Non pertinence de la stratégie consistant à attendre le conditionnement thermique des trains** 
RIS-RA pour les connecter en mode RA. En théorie, celui-ci doit être réalisé lorsque T RIC est supérieure à 135°C et qu'il reste de la marge sur les GV utilisables or ce n'est pas le cas dans le scénario. Les GV n°1 et GV n°2 sont déjà à 2.5 bar en entrée de phase 5 et les GV n°3 et GV 
n°4 sont respectivement « radioactif isolé » et « isolé ». Il n'y a donc plus de marge de refroidissement sur les GV. Par contre, à la fin du refroidissement automatique, une fois la pression cible atteinte (inférieure à 2.5 bar), les vannes réglantes du système de décharge à l'atmosphère (VRVDA) ne sont pas forcément ouvertes à 100%. Or c'est ce critère qui est utilisé dans la procédure pour anticiper la connexion du train RIS-RA en mode RA sans réaliser de conditionnement thermique. En fonction du choix de l'équipe face à cette problématique, un conditionnement thermique peut être engagé, et la suite du refroidissement retardée : tant que le test « VRVDA à 100% sur les GV utilisables » n'est pas forcé à « OUI », le RIS-RA n'est pas valorisé dans le refroidissement et le repli retardé. Ce temps permet un conditionnement thermique du RIS-RA. Or, dans une telle situation (repli bloqué), on tolère la connexion d'un train RIS-RA sans l'avoir conditionné thermiquement ; 
o **Mauvaise implémentation du MOP « surveillance bâche ASG » sur simulateur ;** o **Problème d'atteinte de seuils radioactifs dans les GV sains, conduisant à déclarer inutilisables** 
l'ensemble des GV et à passer en conduite « Gavé-Ouvert » en conduite long terme de l'accident de RTGV. Cette situation rencontrée sur le simulateur ne semble pas être représentative de l'état attendu de l'installation à ce stade de l'accident ; 
o **Problématique de découplage entre les GV utilisables lors de la réalisation du refroidissement** 
contrôlé à la suite d'un refroidissement partiel manuel : le GV qui a été ligné par contournement VVP part d'une pression initiale de 79 bar, les 2 autres GV sains partent d'une pression initiale de 59 bar (pression cible du refroidissement partiel manuel sur tous les GV). 

Une partie de ces imperfections ne semble pas être identifiée par les formateurs lors des préparations des séances de formation ni connue par les services d'ingénierie nationale responsable de l'élaboration des consignes CIA. Les inspecteurs s'interrogent sur l'efficacité du processus de validation des consignes de CIA qui n'a pas permis de piéger ces imperfections dans la stratégie PAF RTGV. Demande A1 : Je vous demande d'informer vos services d'ingénierie des imperfections détectées dans la stratégie de conduite « PAF RTGV » ou dans les modes opératoires sollicités lors de la préparation et la réalisation de la mise en situation sur simulateur. Vous me ferez part de la réponse apportée par vos services d'ingénierie et du délai de traitement envisagé préalablement à la mise en service du réacteur. 

## Sensibilisation De L'Équipe De Conduite À La Sécurité Des Agents De Terrain

Confrontée aux écarts lors de la mise en situation d'accident, l'équipe de conduite inspectée a su appliquer le principe de traitement des écarts en approche par état (APE) en temps réel. L'opérateur qui a détecté l'écart a informé le superviseur (SUP). Ce dernier a analysé la situation et déterminé les actions à réaliser. Il a demandé l'accord du chef d'exploitation (CE) pour la mise en œuvre de ces actions. Par ailleurs, le poste de commandement locale (PCL1) n'a pas hésité à solliciter l'équipe locale de crise (ELC) tout au long du transitoire pour avoir son avis en cas de doute sur les actions à réaliser. Les inspecteurs notent positivement le fonctionnement de l'équipe de conduite lors du transitoire de RTGV. Le redéploiement de cette équipe en configuration CIA s'est fait sereinement. La communication vers l'extérieur de la salle de commande (SdC) est restée maitrisée tout au long du scénario. La précision des informations transmises vers les équipes de crise reflète une bonne communication interne à l'équipe. Les pratiques de fiabilisation des interventions (PFI) ont été, le plus souvent, mises en œuvre : 
o **la communication sécurisée a été utilisée entre les opérateurs lorsque c'était nécessaire ;** o **les points d'arrêt et les points d'entrée en séquence ont été réalisés malgré quelques difficultés** 
dues à la dynamique rapide du début du transitoire ou à la charge adossée au SUP (entrée en phase 4 de la PAF RTGV) ; 
o **l'autocontrôle de l'action opérateur, bien qu'il soit globalement appliqué, reste à améliorer en** 
vérifiant systématiquement le repère fonctionnel du MOP à appliquer en plus de son libellé 
(confusion entre les MOP 3VDA9913YP et 3VDA9903YP).

Néanmoins, la communication vers les agents de conduite présents sur le terrain (AgT), simulée pendant l'exercice par des appels des opérateurs vers les formateurs, reste à améliorer : les opérateurs sollicitent des AgT pour réaliser des fiches de lignage (ex. RFLL 0101 « lignage APG vers KER ») sans leurs donner des éléments de contexte (ex. GV radioactif, appréciation de la situation…) et ne réalisent pas avec eux de point sécurité (prise d'équipement de protection individuels). 

Les inspecteurs rappellent à l'exploitant ses obligations dans le domaine de la sécurité et de la radioprotection de ses travailleurs.. Le principe de la « juste interférence » rappelé dans la consigne 
« C0 APE » n'exclut pas cet aspect : [Veiller à la sécurité des intervenants en local : *…Les risques vis-à-vis de* la sécurité du personnel doivent être analysés selon la conduite en cours (feu, hydrogène, vapeur, azote, radioprotection…)…**]. Les inspecteurs sont conscients de la limite de l'exercice qui simule la participation** des AgT par des appels téléphoniques émis par les opérateurs à destination des formateurs. Cette limitation ne doit pas laisser les opérateurs s'accoutumer à réduire leur rôle envers les AgT en CIA à la seule demande d'application des fiches de lignage en local, sans leur exposer les risques encourus pour leur propre sécurité ni leur communiquer l'appréciation de la situation pressentie en SdC pour qu'ils puissent prendre des mesures de protections adéquates. La faible participation des AgT aux formations et exercices de mise en situation de CIA n'est pas de nature à renforcer cette pratique. Demande A2 : Je vous demande de former vos opérateurs à contextualiser leur demande et à rappeler les enjeux sécurité et radioprotection lors de l'envoi d'un agent de terrain pour la réalisation d'une fiche de manouvre en local en situation de CIA. Par ailleurs, je vous demande d'impliquer autant que possible les agents de terrain lors des mises en situation sur simulateur pour simuler cette communication et confronter les consignes données à la réalité du terrain.

## Analyse Du Déroulement De La Mise En Situation De Cia

Bien que les actions indispensables à la sûreté soient réalisées correctement par l'équipe de conduite inspectée, les inspecteurs relèvent quelques points de vigilance qui découlent de leur observation de la mise en situation de CIA de cette équipe : 
o **Pendant les phases calmes de conduite, les opérateurs ont échangé des explications sur les** 
principales actions à venir et la stratégie de pilotage suivie. Cette pratique permet aux acteurs de s'approprier le transitoire et de se préparer à gérer la suite de l'accident, à condition qu'elle soit renforcée par la confrontation des connaissances partagées au référentiel de conduite applicable en se basant sur la procédure de conduite en question. La connaissance de la phénoménologie d'un transitoire précis appris en formation ne garantit pas le même déroulement de ce transitoire dans d'autres conditions physiques de l'installation ou selon d'autres choix de conduite. Le même constat est valable pour l'activité d'anticipation adossée au SUP : la préparation à l'entrée des phases des stratégies de conduite doit s'effectuer en parcourant les consignes. 

o **Un opérateur a fermé la ligne de transfert entre le GV accidenté et son GV relié avant d'avoir** 
atteint les critères mentionnés dans la procédure. Interpelé par le SUP, il informe ce dernier à tort qu'il s'agit d'un réglage ponctuel laissé à sa main. Cette action a eu des conséquences sur la suite du scénario : le signal de protection « IS sur bas ΔPsat » a été involontairement éliminé car la température de la branche chaude de la boucle n°4 qui entre dans l'élaboration du calcul du ΔPsat a cessé d'augmenter suite à la fermeture de la ligne de transfert. Cette action montre qu'il est indispensable de ne pas entreprendre d'optimisation de conduite sans autorisation conformément au processus dédié. L'adhérence aux procédures doit primer en cas de doute. 

o **Un opérateur a également jugé du niveau d'eau du GV accidenté sur la mauvaise gamme de** 
mesure : il a regardé la gamme large (GL) au lieu de la gamme étroite (GE). Cette pratique pourrait avoir des conséquences sur la capacité à vidanger le GV accidenté (en phase 3) pour passer en phase de dépressurisation (en phase 4) : l'abaissement du niveau du GV relié (à 13,8m GL sur constat de niveau du GV accidenté supérieur à 18m GE) n'a pas été réalisée pendant le refroidissement ce qui aurait pu induire une place insuffisante dans le GV relié pour vider le GV accidenté avant l'ouverture de VDA et risquer un blocage de la CIA. 

o **L'équipe de conduite (OP/SUP/CE) a pris la décision de ne pas réaliser les deux fiches de** 
manœuvre RFLE n°1343 et RFLE n°1344 dédiées à la fermeture en local des trains VDA n°3 et n°4. Les vannes en question étant déjà fermées, les fiches ont été jugées inutiles et l'équipe a privilégié le fait de ne pas envoyer un agent de terrain en local dans le contexte radiologique de l'accident. Cependant, sur commande d'un signal en provenance du système de protection du réacteur (RPR), le VDA subit un changement de configuration de sa pression d'écrêtement en mode soupape lorsque le permissif P14 est validé et qu'au moins un train RIS-RA est en service 
(ou lorsque P17 est validé) : la pression d'écrêtement passe alors à 10 bar. La réalisation préalable de ces fiches permet d'éviter le risque de réouverture du VDA à la connexion du RIS-
RA, en demandant le débrochage des organes de commande. C'est justement ce qui s'est produit dans la suite du scénario accidentel conduisant à un rejet supplémentaire de vapeur radioactive pendant six minutes qui aurait pu être évité. La décision de ne pas réaliser les fiches de manœuvre en local constitue une adaptation en temps réel des procédures APE et devrait être discutée avec l'IS puis soumise à l'autorisation du poste de commandement de la direction (PCD1). En cas d'incertitude sur une action demandée par une procédure APE, il est possible de demander un appui extérieur. D'autre part, il sera utile de s'interroger sur le délai d'intervention de ces fiches de manœuvre et sur la pertinence d'envoyer en local des agents sur des organes potentiellement radioactifs ; ce qu'a parfaitement identifié l'équipe de conduite. 

Les inspecteurs notent que l'équipe de conduite a détecté rapidement la réouverture du VDA 
sur le GV n°3 radioactif, une minute d'arrêt a été effectuée, une action corrective a été mise en place rapidement et une communication à l'extérieur de la SdC a été réalisée par le CE qui informe de l'aléa et de ses conséquences. Les inspecteurs notent également que le CE avait bien en tête le changement de pression de consigne des GV au passage du permissif P14 et que c'est une incompréhension sur la nature des adaptations réalisées par les opérateurs qui a conduit à l'événement (le CE pensant que les opérateurs allaient seulement supprimer la partie de la fiche de lignage relative à la demande de vérification en local, donc en milieu irradiant, de la fermeture des vannes VDA). 

Par ailleurs, les formateurs ont alerté les inspecteurs sur le fait que la phase 5 de la stratégie PAF RTGV est peu pilotée par les équipes en formation. Demande A3 : Je vous demande d'exploiter le REX de conduite de cette mise en situation dans l'élaboration du programme de maintien de capacité de vos agents de conduite, notamment l'intérêt de la mise en pratique des phases de conduite « post état sûr ».

## Temps De Déroulement De La Consigne Spe

Lors de la gestion de l'accident de RTGV par l'équipe de conduite sur simulateur, les inspecteurs ont constaté que le temps de parcours de la consigne SPE par le CE, porteur de cette consigne avant sa relève par l'IS d'astreinte appelé à rejoindre la SdC, est particulièrement long. Dans les faits, le CE est arrivé en SdC à 13h45 sur appel de l'équipe, suivi par l'IS arrivé une demi-heure plus tard. Pendant ce temps, le CE est porteur de SPE et doit assurer en parallèle son rôle de PCL1 en lien avec l'équipe de crise et l'astreinte direction PCD1. La relève CE/IS n'a débuté qu'à 15h05, soit cinquante minutes après l'arrivée de l'IS d'astreinte en SdC. Pendant ce temps, le CE en tant que PCL1 est difficilement disponible pour l'organisation de crise, il est en effet totalement concentré sur le déroulement de la boucle SPE et pratiquement déconnecté des actions de l'équipe de conduite et de la dynamique de l'accident. S'il répond aux sollicitations externes, sa charge de travail limite sa capacité à initier luimême des appels vers l'extérieur, en particulier vers PCD1. 

Sur le parc en exploitation, le temps cible de parcours de la consigne SPE est estimé à une vingtaine de minutes environ. Ce temps reste compatible avec la réalisation complète d'une première boucle SPE par le CE (et éventuellement une deuxième) en attendant l'arrivée de l'IS. La relève CE/IS sur SPE sera réalisée en mode dynamique à l'issu du bouclage du CE dans cette consigne. En plus, la nouvelle organisation de l'équipe de conduite des tranches du parc en exploitation attribut au chef d'exploitation délégué (CED) le rôle de porteur de la procédure SPE en CIA. Cette organisation permet au CE de se consacrer entièrement à son rôle de PCL1 en lien avec l'équipe de crise. 

Par ailleurs, les inspecteurs ont constaté pendant le transitoire de RTGV que les points de communication fixés par PCL1 envers PCD1 sont peu nombreux et assez espacés (environ 50 min à 80 min entre deux points), et ce, malgré la dynamique du transitoire. À titre d'exemple, l'information sur les rejets liés à l'utilisation de VDA sur le GV radioactif a mis du temps à être diffusée à PCD1 en début de scénario accidentel. L'équipe de crise, et donc les pouvoirs publics, risquent, en situation réelle, d'avoir cette information tardivement. Ceci conduirait immanquablement à des fragilités en termes de d'organisation de crise. Demande A4 : Je vous demande de prendre les mesures organisationnelles et techniques garantissant l'accomplissement du rôle du PCL1 en CIA en exploitant le REX de la mise en situation de CIA organisée par les inspecteurs. 

## Couverture De La Consigne Spe (Surveillance Permanente De L'État)

Lors de la deuxième séance de mise en situation de CIA sur simulateur, les inspecteurs ont observé la gestion d'un manque de tension externe (MDTE) cumulé à l'indisponibilité du groupe électrogène diesel LHP pour cause de maintenance préventive selon un scénario élaboré et dispensé habituellement par les formateurs du SCF. 

Suite à la perte du transformateur de soutirage (TS) et l'échec du basculement sur le transformateur auxiliaire (TA), les diesels disponibles sont démarrés automatiquement. Cet incident doit être géré par la mise en œuvre de la stratégie de passage en état de repli « PER ». La bonne gestion de ce transitoire nécessite l'atteinte du nouvel état de repli à la suite de la remise en service du diesel LHP. L'équipe de conduite a traité de manière efficace les conséquences de la perte du TA par l'envoi d'un AgT en local pour analyser le défaut d'une part, et par des analyses indépendantes des spécifications techniques d'exploitation (STE) d'autre part. Des erreurs de conduite ont pu être corrigées en équipe grâce à la communication sécurisée et au contrôle croisé. La communication vers les appuis externes était claire et précise. Le CE a anticipé la phase de retour à la conduite normale en identifiant les situations qui risquent de perturber cette conduite. 

Cependant, le porteur de la consigne SPE (l'IS en l'occurrence) a été confronté à deux problématiques : 
o **L'alarme de perte LHA demande de considérer perdus plusieurs tableaux et les matériels** 
associés dont LJZ qui était a priori disponible dû aux interconnexions : cela amène à considérer des fonctions de sûreté indisponibles alors qu'elles sont peut-être disponibles. L'IS en avait conscience et prévoyait de reboucler avec SUP au cas où ces fonctions de sûreté soient requises pour gérer la situation. 

o **L'application des critères de la consigne SPE ne permet pas de considérer la perte TS et TA au** 
vu des informations disponibles au moyen de conduite de secours (MCS) alors que l'IS le sait manifestement. Il a choisi de considérer les matériels associés indisponibles (GMPP, aspersion, GCT, APG) même si ce n'était pas justifié par la consigne. 

La consigne SPE semble mal gérer la perte complète des alimentations électriques externes et les interconnexions entre tableaux électriques. 

Demande A5 : Je vous demande d'informer vos services d'ingénierie du défaut de couverture de la consigne SPE. Vous me transmettrez les résultats de leur analyse. 

## Validation À Blanc Des Fiches De Manœuvre D'Astreinte Appelées En Cia

Les inspecteurs ont contrôlé le déroulement de l'activité de validation à blanc des documents opératoires de CIA. La validation à blanc est l'une des activités qui composent l'étape « Validation des consignes » du processus itératif global d'élaboration des procédures de CIA [5]. Elle regroupe la validation à blanc des consignes de CIA [3] et des fiches de lignage en local [4] appelées en situation d'incident ou d'accident. 

Figure 1 : Schéma simplifié du processus itératif global d'élaboration des procédures de la CIA 
La validation à blanc des consignes de CIA vise à s'assurer de façon exhaustive de la faisabilité des actions demandées en salle de commande, pour chaque chemin de conduite possible dans chaque consigne de CIA. Les consignes de CIA font actuellement l'objet d'une troisième campagne de validation à blanc sur site. Les observations relevées par le service conduite (SCO) sont triées et filtrées par le service sûreté qualité (SSQ) puis remontées vers le service fonctionnement conduite simulateur 
(FCS) de l'ingénierie nationale pour analyse et traitement. Les services SCO et SSQ sont représentés dans les comités décisionnels du FCS qui traitent ces observations. Les inspecteurs notent la quantité considérable de consignes soumises aux campagnes successives de validation à blanc et soulignent l'effort de documentation et de suivi réalisé par le correspondant du chapitre VI des règles générales d'exploitation (RGE) du SSQ. La validation à blanc sur le terrain des fiches de lignage en local appelées par les consignes de CIA vise à garantir leur cohérence avec l'installation. Elle doit permettre aussi de s'assurer de la compréhension par les équipes de terrain des actions demandées en particulier le mode opératoire qui doit être compatible avec les pratiques d'exploitation et qui doit répondre aux objectifs de conduite fixés. Les fiches de lignage en local font actuellement l'objet de la troisième campagne de validation à blanc sur site par les agents responsables des manœuvres en local. Les recueils de fiches locales de lignage 
(RFLL) et de fiches locales électriques (RFLE) sont validés par le service SCO puisque ces fiches sont appliquées par les agents appartenant à ce service. Quant aux fiches du RFLA, elles sont validées par les métiers concernés sous le pilotage du correspondant chapitre VI du service SCO (voir §5 de la note en référence [4]). Les inspecteurs ont constaté un transfert de pilotage de l'activité de la validation à blanc de l'ensemble des fiches de lignage vers le service SSQ qu'il convient de tracer dans la note en référence [4]. 

Les inspecteurs ont procédé par sondage à l'examen du traitement des observations relevées sur les fiches de lignage lors de la campagne de VàB relative à la version JR6 et intégrées dans la version JR7 du jeu de consignes CIA. Ils ont pu constater la qualité et le volume du travail de documentation et de suivi de traitement réalisé par les pilotes successifs de cette activité. 

Les inspecteurs ont remarqué que les fiches du RFLA ne sont couvertes par aucune campagne de VàB. Vos représentants ont indiqué aux inspecteurs que ces fiches sont difficilement vérifiables en absence des gammes dédiées qui dépendent des métiers et qui sont en cours de développement. La particularité de ces fiches réside dans la diversité des actions et des métiers appelés à intervenir et surtout dans la communication avec l'équipe de conduite pour bien identifier l'objectif de chaque fiche. La VàB fait partie de l'étape « Validation des consignes » qui constitue le dernier maillon du processus itératif simplifié d'élaboration et de vérification des procédures de la CIA pour piéger les anomalies dans les documents opératoires de la CIA. Les éventuelles anomalies détectées lors de la phase de VàB 
alimentent itérativement l'entrée de ce processus. Le lancement très tardif de cette activité fragilise ce processus au stade de consolidation des procédures pour de la mise en service du réacteur. 

Le service SSQ prévoit le lancement de la VàB des RFLA en septembre 2021 en concertation avec les métiers. Le service SCO n'est pas associé à cette activité contrairement à ce qui est mentionné dans la note de cadrage de l'activité [4]. Les RFLA sont appelées par les consignes de CIA dans un contexte de gestion d'incident ou d'accident avec des risques induits et des conditions d'ambiance spécifiques (chaleur, humidité, radioprotection…). Les inspecteurs recommandent la consultation du service SCO pour contextualiser la VàB de ces fiches RFLA. Demande A6 : Je vous demande de soumettre les RFLA au processus de validation à blanc des documents opératoires de CIA selon un calendrier compatible avec la production de la version de démarrage des documents opératoires de CIA par vos services d'ingénierie. Vous associerez le SCO 
à la programmation de cette activité. 

## Applicabilité Des Documents Opératoires De La Cia

Les inspecteurs ont examiné sur le terrain l'atteinte des objectifs visés par l'activité de validation à blanc des fiches de lignage en local appelées par les consignes de CIA. Pour cet examen, ils ont sélectionné certaines fiches de manœuvre et ont demandé à un AgT, en charge de VàB, de décrire cette activité mise en pratique sur ces fiches. Ces fiches étaient à l'état documentaire JR7 et avaient déjà faites l'objet d'une VàB en 2018 sur leur version JR6 dont la documentation a été examinée en salle par les inspecteurs. Sur les fiches examinées par sondage, les inspecteurs ont relevé les points suivants : 
o **La fiche référencée RFLL n°1101, relative au lignage d'un train du système SEC sur** 
diversification, demande la réalisation d'une manœuvre de fermeture de la vanne SRU3130VE dite « vanne-pelle ». Cette manœuvre consiste à descendre un batardeau à l'aide d'un palan de levage manuel. Il apparaît que cette manœuvre particulière est peu pratiquée par les agents de terrain et ne fait pas l'objet de formation spécifique. Le mode opératoire de cette manœuvre est néanmoins décrit dans la fiche mais semble nécessiter des précisions sur les consignes de sécurité à mettre en œuvre pour cette manœuvre de charge lourde réalisée par un agent seul et sur les outils à mettre en œuvre pour décrocher en toute sécurité les chaînes de stockage de la vanne. 

o **Dans la même fiche référencée RFLL n°1101, la vérification de la position des vannes** 
SEC2510VE et 2107VE n'est possible qu'avec un indicateur de position situé sur la tête du réducteur, 3 m sous des caillebottis. Une lampe est donc nécessaire pour cette vérification. Par ailleurs, les vannes étant placées dans des puisards, si les pompes de relèvement sont hors service, le puisard se remplit et il n'est plus possible, dès l'atteinte d'une hauteur d'eau d'environ 1m80, de lire la position des vannes. 

o **La fiche référencée RFLL n°0311, relative au lignage anticipé EVU train 1 en cas de manque de** 
tension généralisée, a fait l'objet d'une VàB dans des conditions d'exploitation normale. Or, il apparaît que cette fiche demande la manœuvre de trois vannes qui apparaissent plus difficilement localisables dans l'obscurité liée au manque de tension généralisée. Il apparaît important que le processus de VàB prenne en compte au mieux les conditions de mise en application de ces fiches. 

o **La fiche référencée RFLL n°0309, relative à la recherche et l'isolement d'une fuite sur le circuit** 
EVU intermédiaire du train 1, demande de procéder à une recherche de fuite. Si la fuite est identifiée, elle prescrit d'en informer le demandeur, de demander l'autorisation d'isoler le train en vérifiant préalablement auprès du demandeur que la pompe du train a été arrêtée. Si la fuite n'est pas identifiée, il apparaît qu'elle demande de réaliser l'isolement du train sans en référer au demandeur et donc sans avoir eu l'autorisation de le faire et sans avoir vérifié l'arrêt de la pompe. Cette stratégie de mise en œuvre a interrogé les inspecteurs et nécessite *a priori* **une** 
justification. Vos représentants ont fait remarquer que ce type d'interrogation sur la pertinence des actions demandées dans une fiche n'est pas du ressort de l'agent de terrain validant la fiche. 

Une personne qualifiée pour réaliser ce type de remarque doit donc parcourir l'intégralité des fiches lors du processus de validation à blanc. La preuve de la réalisation de cette partie de la validation à blanc n'a pas pu être apportée lors de l'inspection. 

o **La fiche référencée RFLE n°1361, relative au réglage de la pression d'un générateur de vapeur** 
par le système VDA, demande de procéder à un réglage de la vanne référencée VDA1210VV 
soit depuis sa cellule actionneur soit en local « *par pas de 5%* **». Il apparaît que ces pas de 5% ne** sont pas réalisables rigoureusement par ces moyens. Par ailleurs, il apparaît que la cellule actionneur de cette vanne ne possède pas forcément de branchement pour une boîte à bouton ce qui semble n'avoir pas été relevé par la VàB de la version JR6 réalisée en 2018. Enfin, cette VàB indique que l'accès pour la manœuvre en local de la vanne est à définir sans qu'aucune indication d'accès n'ait été portée dans la mise à jour de la fiche en version JR7. 

Par ailleurs, les inspecteurs ont demandé à l'AgT de simuler sur le terrain la réalisation des fiches de manœuvres locales appelées par les opérateurs mis en situation de conduite accidentelle du réacteur sur simulateur. Ils ont ensuite examiné les VàB réalisées en 2018 sur ces fiches. Les inspecteurs ont relevé les points suivants : 
o **La fiche référencée RFLE n°3511, relative à la fermeture des sas pour le personnel, identifie les** 
repères fonctionnels des pupitres à utiliser pour effectuer ses manœuvres (amélioration identifiée lors de la VàB réalisée en 2018) mais ne semble pas assez précise sur le mode opératoire de fermeture des portes intérieures et extérieures des deux sas concernés pour une mise en œuvre adéquate. 

o **La fiche référencée RFLL n°0101, relative au lignage APG vers KER, identifie la localisation** 
d'une vanne dans un local qui n'existe pas *a priori***. Il apparaît que la référence du local ajoutée** à l'occasion de la VàB réalisée en 2018 était erronée. L'AgT a néanmoins pu retrouver la vanne en simulant un appel au demandeur. 

o **Les fiches référencées RFLE n°1343 et n°1344, relatives à l'isolement du système VDA,** 
demandent des manœuvres à la boîte à boutons de cellule actionneur de vannes dans les locaux électriques. Néanmoins, les dispositifs de raccordement de la boite à boutons n'existent pas sur ces cellules. La manœuvre de la cellule n'est donc pas réalisable sans que ce point ait été identifié lors des VàB réalisées en 2018. Par ailleurs, l'accès aux vannes pour les manœuvres en local n'était pas possible ni pendant l'inspection ni pendant les VàB réalisées en 2018. Ces faits ont conduit notamment à un échec d'application de la fiche. 

o **Les fiches référencées RFLL n°4401 et n°4404, relatives à l'ouverture et à la fermeture de la** 
vanne SEK6111VK, précisent uniquement le local où la vanne est située. Néanmoins, le local est grand et la vanne est difficilement localisable. Elle n'a pas été trouvée pendant l'inspection et sa localisation délicate avait déjà été identifiée lors des VàB de 2018 sans que la fiche n'ait évolué pour préciser son emplacement. 

Demande A7 : Je vous demande de me faire part de votre analyse des différents points susmentionnés. Vous préciserez les raisons pour lesquelles certaines remarques issues des validations à blanc précédentes n'ont pas été prises en compte. Vous joindrez également, lorsque vous jugez votre processus de validation adapté, les modes de preuve de la réalisation des actions qui auraient pu / dû aboutir à la formulation de remarques. Enfin, le cas échéant, vous m'indiquerez les actions mises en œuvre pour renforcer votre processus de validation à blanc et de professionnalisation des agents de terrain pour la mise en œuvre de ces fiches. 

## Offre De Maintien De Capacité De L'Équipe De Conduite

Le programme de maintien de capacité des agents de conduite du site Flamanville 3 est construit en collaboration entre SCO, SSQ et l'unité de professionnalisation pour la performance industrielle (UFPI) qui a rédigé la note spécifique d'offre en termes d'objectifs pédagogiques généraux des stages de maintien de capacités des agents de conduite et des IS « NT400 Offre du maintien de capacités conduite et IS » en réponse au programme quadriennal de la DPN. Cette note permet au SCF de Flamanville 3 d'élaborer localement son offre globale qui prend en compte les demandes spécifiques de SCO et SSQ. 

Le moratoire sur les formations mis en place par la DPN durant le premier confinement du printemps 2020 en réponse à la crise COVID19 est venu perturber le déroulement du programme de maintien de capacité de la période « septembre 2019 - août 2020 ». Une « dette de formation » s'est créée sur l'ensemble des CNPE y compris Flamanville 3. 

Lors de sa réunion extraordinaire n°302 du 3 juin 2020, le comité de sûreté nucléaire en exploitation (CSNE) a pris la décision d'étendre exceptionnellement la période de comptabilisation des jours de formation et d'entrainement sur simulateur des agents de conduite à décembre 2020, et d'imposer un seuil bas de six jours de simulateur par agent de conduite sur cette nouvelle période. À Flamanville 3, la note NT400 2019-2020 [6] couvrant initialement la période « septembre 2019 - août 2020 » est restée d'application jusqu'à la fin de l'année 2020. Le SCF confirme avoir dispensé l'ensemble du programme initialement prévu sur cette nouvelle période. 

En ce qui concerne la période « septembre 2020 - août 2021 », les inspecteurs ont constaté que la note NT400 2020-2021 était toujours en version préliminaire ne prenant pas en compte une partie du programme prévu et réalisé. 

Interrogés sur ce retard, les représentants d'EDF ont expliqué aux inspecteurs que la spécificité de la tranche EPR ne permet pas au SCF de Flamanville 3 de mutualiser la charge de développement des fiches de séquences pédagogiques (FSP) des scénarios avec les autres SCF du parc (ceux derniers finalisent le développement des FSP en août pour pouvoir démarrer les formations planifiées en septembre). À cette charge de travail vient s'ajouter la prise en compte des mises à jour fréquentes des consignes de conduite dans les supports de formation. La version finale de la note NT400 2020-2021 est prévue pour l'été 2021. Les inspecteurs restent en attente de cette note afin qu'ils puissent contrôler le respect du programme défini par la DPN. Demande A8 : Je vous demande de finaliser et de me transmettre la note « NT400 Offre du maintien de capacités conduite et IS » couvrant la période « septembre 2020 - août 2021 ». 

## Représentativité Des Consignes De Cia Implantées Sur Simulateur

Le SSQ s'apprête à recevoir au courant de l'été 2021 de la part des services d'ingénierie les modifications entreprises dans le jeu de procédures CIA relatif à la version de mise en service de l'EPR. Il réalisera par la suite l'analyse d'impact de ces modifications sur les supports de formation de l'équipe de conduite et intègrera le cas échéant les modifications dans les FSP des formations à la CIA dans le programme NT400 2021-2022. Mais cette mise à jour de ces FSP est conditionnée aussi par l'installation d'une nouvelle version du simulateur de conduite intégrant les MOP modifiés. Le SSQ ne maitrise pas le calendrier de mise à jour du simulateur, ce dernier ne relèvant pas du champ de compétences de ce service. Un retard sur la mise à jour de la version du simulateur intégrant le jeu de consignes relatif à la version de mise en service du réacteur risque de causer un écart avec les supports de formation qui auront intégré ces éventuelles modifications. Les agents de conduite risquent dans ce cas d'être formés avec un simulateur et des consignes qui ne seraient pas cohérents entre eux et surtout non représentatifs de l'état documentaire du référentiel d'exploitation de la tranche. Demande A9 : Je vous demande de réaliser l'analyse des risques induits par l'écart qui peut survenir entre le jeu de consignes de démarrage du réacteur et la version du simulateur qui serait utilisée pour assurer le programme de maintien de capacité de la période « septembre 2021 - août 2022 » couvrant la phase préalable à la mise en service prévue du réacteur. 

# B. **Demandes D'Informations Complémentaires**

## Analyse Du Rex Des Essais De Démarrage Sur L'Exploitation De La Tranche

Les essais de démarrage de l'EPR font actuellement l'objet d'une analyse de retour d'expérience (REX) 
sur la future exploitation de l'installation. L'exploitant utilise notamment les durées de certains essais pour estimer le temps de certaines manœuvres d'exploitation et essais périodiques afin de préparer les futurs arrêts. Le REX réalisé par l'exploitant fait état d'une bonne maitrise des consignations et des lignages des systèmes par les agents de conduite. Ces derniers ont d'ailleurs fait part aux inspecteurs de leur satisfaction d'avoir participé à ces essais. Les interlocuteurs EDF ont présenté aux inspecteurs le processus de traitement des incidents d'essais de démarrage de l'EPR et exposé quelques incidents impliquant l'exploitation de la tranche. Ils ont indiqué aux inspecteurs que les problématiques détectées par les essayeurs sur site donnent lieu à des fiches de liaison site-étude (LSE) à destination du service essais de démarrage (ESS) de l'ingénierie nationale. Ce service, en tant que responsable de cette base, attribue les LSE aux services métiers compétents pour leur instruction s'il n'est pas capable de les traiter directement. En l'occurrence, les LSE pouvant avoir un impact sur la conduite sont traitées en concertation avec le service FCS d'EDVANCE et celles qui concernent exclusivement la conduite sont attribuées à ce service. La note de bilan des essais de démarrage de l'EPR intégrant le REX est en cours de production par l'exploitant au moment de l'inspection. Les inspecteurs restent en attente de réception de cette note avant d'engager les actions de contrôle de la prise en compte de ce REX dans l'exploitation et la conduite de la tranche. 

Demande B1 : Je vous demande de m'adresser la note de bilan des essais de démarrage intégrant le retour d'expérience tiré des essais de démarrage. Vous veillerez notamment à bien identifier l'impact éventuel de certains essais sur la conduite en situation incidentelle et accidentelle. 

## C. **Observations** Application Du Programme Quadriennal De Formation Des Agents De Conduite

Les inspecteurs ont interrogé le SCO sur sa stratégie pour assurer le maintien de compétences de ses agents de conduite dans un contexte de retard cumulé sur le démarrage de la tranche EPR. Jusqu'en 2020, le SCO privilégiait les scénarios permettant à ses agents d'être au plus près du besoin du site et de l'actualité des essais au détriment du respect du programme quadriennal du parc défini et imposé par la DPN. La divergence faisait partie de ces scénarios demandés plusieurs fois de suite afin de préparer la divergence réelle de l'EPR, plusieurs fois décalée aussi. Depuis la NT400 2020-2021, le SCF 
a décidé en concertation avec le SCO de se caler plus fidèlement au programme quadriennal du parc. L'actualité du site et les besoins spécifiques au démarrage seront majoritairement traités par des formations supplémentaires dispensées « juste à temps ». Les inspecteurs rappellent à l'exploitant l'importance de respecter le programme quadriennal définit par la DPN qui est élaboré selon un processus permettant la prise en compte du REX d'exploitation de l'ensemble du parc dans les formations proposées. 

## Campagne D'Observations Des Performances Des Équipes

En préparation du démarrage de la tranche EPR, le SCO déploie une campagne d'observation des performances des équipes (*Crew Performance Observations* **- CPO) qui vise à aider l'exploitant à détecter** et à corriger les éventuels axes de progrès avant la première divergence. En observant les membres des équipes de conduite lors des scénarios sur simulateur, notamment en observant leurs réactions sur les transitoires et les situations complexes, les CPO aident à évaluer l'état de préparation des équipes et l'efficacité de la formation correspondante. Cette campagne de CPO s'est traduite par deux mises en situation de l'ensemble des équipes de conduite durant six heures chacune. L'observation de chaque équipe constituée est effectuée poste par poste. Elle concernait la sérénité et la communication en SdC, les rôles, les responsabilités et la répartition des tâches au sein de l'équipe et l'utilisation des PFI. Un compte rendu d'observation dédié à chaque équipe de conduite est produit. Ce compte rendu regroupe les points forts/faibles collectifs selon différentes thématiques (surveillance, travail en équipe, connaissance de l'installation…) et recense des points d'amélioration à travailler en équipe. Suite à cette campagne de CPO, un compte rendu global est produit suivi par un plan d'action. Les inspecteurs notent positivement cette action et proposent de partager le REX pertinent entre équipes sur les CPO, selon une méthode définie par l'exploitant. Ils constatent néanmoins l'absence de participation des AgT à ces exercices qui ont pourtant pour objectif de travailler la performance des équipes. 

Vous voudrez bien me faire part sous deux mois **des remarques et observations, ainsi que des** 
dispositions que vous prendrez pour remédier aux constatations précitées. Pour les engagements que vous prendriez, je vous demande de les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Enfin, conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement et conformément à l'article R. 596-5 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, M. le Directeur, l'assurance de ma considération distinguée. 

L'adjoint au chef de division Signé Jean-François BARBOT
* * * 